一、Docker网络基础概念与核心原理
Docker网络架构是容器间通信和与外部系统交互的核心机制，通过虚拟化网络设备和命名空间为每个容器提供独立的网络栈。Docker利用Linux的网络命名空间实现容器间的网络隔离，每个容器拥有独立的网络接口、路由表和端口空间。容器内部的eth0接口通常通过veth pair与宿主机上的网桥（如docker0）连接，实现数据包转发。
Docker提供了多种内置网络驱动，适用于不同场景：bridge是默认驱动，用于单主机容器通信；host模式下容器共享宿主机网络栈，无网络隔离；none模式下容器无网络接口；overlay用于跨多个Docker守护进程的容器通信，常用于Swarm模式；macvlan为容器分配MAC地址，使其在物理网络中表现为独立设备。
Bridge模式是Docker最常用、最核心的网络模式，它为容器提供了一个隔离但可通信的网络环境。在Bridge模式下，Docker守护进程创建一个名为docker0的Linux网桥，为每个启动的容器分配独立的网络命名空间，并通过veth pair将容器接口连接至网桥。容器通过veth pair连接到docker0网桥，获得私有IP地址（通常为172.17.0.0/16网段）。容器间可通过IP直接通信，但默认无法通过主机名互访。
Bridge模式的工作原理是通过创建一个虚拟网桥设备，充当数据包转发的中心节点。当虚拟设备发送数据时，数据包首先到达虚拟网桥，网桥根据MAC地址表决定转发端口。若目标地址未知，则广播至所有接口。容器访问外部网络时，流量通过容器的eth0发出，到达docker0网桥，宿主机内核会根据路由规则将目的地址不是本机或本子网的流量转发到其默认网关，并启用IP伪装或网络地址转换，将容器的源IP地址替换为宿主机物理接口的IP地址。
外部访问容器需要使用端口映射，通过-p参数将容器端口映射到宿主机。例如，docker run -d -p 8080:80 --name webserver nginx命令将宿主机的8080端口映射到容器的80端口。Docker通过iptables规则实现流量转发，具体规则包括在PREROUTING链中添加DNAT规则，将宿主机端口的请求转发到容器IP:端口。
Docker网络的核心技术包括网络命名空间（Network Namespace）、虚拟网桥（Bridge）、虚拟以太网设备对（veth pair）和iptables（网络地址转换与流量控制）。网络命名空间实现网络资源的隔离，是Docker网络隔离的基础。虚拟网桥相当于软件模拟的"交换机"，用于连接多个网络设备，实现设备间的数据包转发。veth pair类似一根"虚拟网线"，由两个相互关联的虚拟网卡组成，一端接入容器的net ns，另一端挂载到宿主机的网桥，是容器与网桥通信的"物理通道"。iptables负责Docker网络的地址转换（NAT）、端口映射、流量过滤，是容器与外部网络通信的核心"路由规则"。
1. Docker网络技术对比
Docker提供了多种网络技术，每种技术都有其特定的应用场景和优势。下表对比了Docker主要网络技术的特点与适用场景：
网络技术 | 工作原理 | 优势 | 劣势 | 适用场景 |
Bridge | 通过虚拟网桥连接容器，使用NAT实现外部访问 | 配置简单，资源消耗低，适合单主机部署 | 性能有损耗，跨主机通信复杂 | 单主机多容器应用，开发测试环境 |
Host | 容器直接使用宿主机网络栈 | 性能最优，无网络开销 | 无网络隔离，安全性低 | 高性能应用，网络密集型服务 |
Overlay | 基于VXLAN等隧道技术实现跨主机网络 | 支持跨主机通信，适合集群部署 | 配置复杂，性能有一定损耗 | 多主机容器集群，微服务架构 |
Macvlan | 为容器分配独立MAC地址，直连物理网络 | 网络性能好，容器如同物理设备 | 需要物理网络支持，IP资源消耗大 | 需要直连物理网络的容器应用 |
None | 容器无网络配置 | 完全隔离，安全性高 | 无法进行网络通信 | 安全测试，离线计算任务 |
二、Docker默认网络模式详解
Docker提供了多种网络模式，包括bridge、host、none、container以及自定义网络，每种模式具有不同的特性和适用场景。了解这些网络模式的工作原理和适用场景，对于正确配置Docker网络至关重要。
Bridge模式是Docker的默认网络模式，当创建容器时不指定网络模式时，会自动使用此模式。在Bridge模式下，Docker会在宿主机上创建一个名为docker0的虚拟网桥，每个容器会被分配一个独立的网络命名空间和IP地址（通常在172.17.0.0/16子网范围内）。容器通过veth pair连接到docker0网桥，实现容器之间以及容器与宿主机之间的通信。容器之间可以通过IP地址相互通信，也可以通过端口映射（-p参数）使外部网络访问容器服务。Bridge模式提供了良好的网络隔离性，但存在NAT转换开销，性能中等。适用于单机多容器通信的场景，如Web服务与数据库的组合。
Host模式下，容器与宿主机共享网络命名空间，直接使用宿主机的网络栈，没有独立的网络配置。容器使用宿主机的IP地址和端口，无需端口映射。由于没有NAT转换开销，Host模式提供了最佳的网络性能，但牺牲了网络隔离性，容易发生端口冲突。适用于需要高性能的场景，如负载均衡、实时数据传输等，但需要注意安全性问题，因为容器可以访问宿主机的所有网络资源。
None模式为容器创建一个独立的网络命名空间，但不进行任何网络配置，容器内只有一个lo（回环）接口。这种模式提供了完全的网络隔离，容器无法与外部网络、宿主机或其他容器通信。适用于完全不需要网络连接的任务，如批量计算或高安全需求的场景。
Container模式允许新创建的容器与另一个已存在的容器共享网络命名空间，包括IP地址、端口范围等网络配置。两个容器之间可以通过localhost直接通信，但在其他资源上（如文件系统、进程列表）仍然是隔离的。适用于"边车"(Sidecar)模式，如主应用与网络监控或日志收集容器的组合。
除了这些基本网络模式，Docker还支持自定义网络，特别是在生产环境或多容器应用中，强烈推荐使用自定义的bridge网络。自定义网络的最大优势是提供自动DNS解析，容器间可以通过容器名称直接通信，无需关心IP地址变化。不同自定义网络之间默认是隔离的，提供了更安全的环境。可以使用docker network create命令创建自定义网络，并通过--network
